Obowiązkowe cyberbezpieczeństwo dla oznakowania CE: zasady i procedury

Bezpieczeństwo informatyczne jest wymogiem niezbędnym do uzyskania znaku CE dla sprzętu radiowego, dzięki zapisom Komisji Europejskiej w tym zakresie. The Rozporządzenie delegowane (UE) 2022/30 – weszła w życie z dniem 11.02.2022 r. – znajduje zastosowanie począwszy od 01.08.2024, dając producentom okres przejściowy niezbędny do dostosowania urządzeń do nowych wymagań.

Przedmiotowe rozporządzenie stosuje wymagania zgodności, o których mowa w art. 3 ust. 3 lit. d), e) i f) Rozporządzenia Dyrektywa RED, w celu zwiększenia bezpieczeństwo cybernetyczne, ochrona danych osobowych i ochrona przed oszustwami dla przedmiotowych urządzeń dostępnych na rynku UE.

Produkty podlegające aktualizacjom cyberbezpieczeństwa

Tam Dyrektywa RED (dyrektywa w sprawie sprzętu radiowego) poświęcona sprzęt radiowy – a co za tym idzie do urządzeń i instrumentów IoT z powszechnie stosowaną technologią bezprzewodową – definiuje obszary, których dotyczą nowe wymagania, w tym zdecydowana większość podłączonych do sieci urządzeń wykorzystywanych w życiu codziennym.

Obowiązują nowe ramy regulacyjne do wszystkich urządzeń radiowych – którzy potrafią komunikować się za pośrednictwem Internetu, bezpośrednio lub za pośrednictwem innego sprzętu – przetwarzające dane osobowe, dane o ruchu i lokalizacji. Dotyczy urządzeń dedykowanych dzieciom; do sprzętu radiowego przeznaczonego do noszenia, mocowania lub mocowania do jakiejkolwiek części ludzkiego ciała lub ubrania; do urządzeń radiowych zgodnych z dyrektywą sui zabawki; do sprzętu radiowego podłączonego do Internetu, który umożliwia transfer pieniędzy.

Z zakresu stosowania dyrektywy RED wyłączone są różne urządzenia, np. pojazdy objęte rozporządzeniem (UE) 2019/2144 oraz urządzenia związane z lotnictwem cywilnym, których dotyczy rozporządzenie (UE) 2018/1139. Ponadto wyłączone są m.in. systemy opłat elektronicznych regulowane dyrektywą (UE) 2019/520 oraz wyroby medyczne, do których stosuje się rozporządzenie (UE) 2017/745 i rozporządzenie (UE) 2017/746.

Podstawowe wymagania dotyczące bezpieczeństwa komputerów

Jak wskazano w art. 3 dyrektywy RED 2014/53/UE, aby zachować zgodność z ramami regulacyjnymi, sprzęt radiowy na niektóre muszą odpowiedzieć wymagania, pośród których:

nie niszcz sieci lub jego funkcjonowania, ani też nadużywać zasobów sieci, powodując w ten sposób niedopuszczalne pogorszenie jakości usługi;
zawierają elementy zabezpieczające dla zapewnić ochronę danych osobowych oraz prywatność użytkownika i abonenta;
obsługują specjalne funkcje, które na to pozwalają chroń się przed oszustwem.

Standardy niezbędne do określenia przepisów dotyczących bezpieczeństwa, ochrony i ochrony danych dotyczących urządzeń radiowych, IoT i bezprzewodowych oraz ich interakcji to: ETSI EN 303 645 „CYBER; cyberbezpieczeństwo konsumenckiego Internetu rzeczy: wymagania podstawowe” oraz seria Norma IEC 62443 „Przemysłowe sieci komunikacyjne – Bezpieczeństwo sieci i systemów”.

Bezpieczeństwo IT i obowiązki producenta

Producenci urządzeń, o których mowa w art. 3 dyrektywy RED, są zobowiązani oceniamy zgodność produktów pod kątem cyberbezpieczeństwa. Oprócz ocena bezpieczeństwa informatycznego produktu – zgodnie z dostępnymi standardami – można dążyć do zidentyfikowania aspektów rozważanego urządzenia, które wymagają ulepszenia, aby zdecydować, czy obecny produkt będzie zgodny, czy też zmodyfikować właściwości kolejnego produktu.

Biorąc pod uwagę względną krótki okres przejściowy – biorąc pod uwagę dużą liczbę produktów, które wymagają dostosowania – producenci powinni to zrobić dostosować urządzenia do przepisów dotyczących cyberbezpieczeństwa szybko, jak zrobiło to już wiele przedsiębiorstw w sektorze, aby uniknąć ryzyka opóźnień lub sankcji blisko daty wejścia w życie.